| CVE ID | 심각도 | CVSS | 소프트웨어 | 설명 | 발행일 | 수정일 |
|---|---|---|---|---|---|---|
| CVE-2026-109386 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 The Hustle 플러그인(7.8.14.3 이하)에는 권한 검증 누락 취약점이 있습니다. hustle_create 권한을 가진 인증된 공격자가 사이트의 ESP 연동 API 키를 자신의 값으로 덮어쓸 수 있으며, HubSpot의 경우 OAuth 토큰 정보를 영구 삭제할 수 있습니다. CVSS 점수는 4.3(MEDIUM)입니다.
|
2026-10-31 | 2026-11-02 18:18 |
| CVE-2026-55146 | MEDIUM | 4.3 | IBM Security Verify Access |
LORIS(신경영상 연구용 데이터 및 프로젝트 관리 웹 애플리케이션)의 16.0.0 이상 27.0.4 미만, 28.0.0 이상 28.0.2 미만 버전에서 issue_tracker 백엔드가 편집 권한을 올바르게 검증하지 않습니다. 프론트엔드에서는 편집 가능한 이슈를 제한하지만, 인증된 사용자가 권한 밖의 이슈에 대해 백엔드 변경 요청을 보낼 수 있습니다. Issue Tracker를 사용하지 않는 배포는 해당 모듈을 비활성화하여 엔드포인트 접근을 차단할 수 있습니다.
|
2026-10-30 | 2026-11-02 19:35 |
| CVE-2026-119730 | MEDIUM | 4.3 | Microsoft Edge for Android |
Android용 Maxthon 브라우저 7.5.8.103 이전 버전에는 주소창 위조 취약점이 존재합니다. Fullscreen API 호출 시 지속적인 전체화면 알림이나 신뢰할 수 있는 출처 표시가 없어, 공격자가 신뢰된 도메인처럼 보이는 가짜 주소창을 렌더링할 수 있습니다. 이로 인해 사용자가 피싱을 통해 자격 증명을 노출할 위험이 있습니다.
|
2026-10-30 | 2026-11-05 03:17 |
| CVE-2026-119329 | MEDIUM | 4.3 | Multi-Domain Security Management Server |
Immich는 자체 호스팅 사진·동영상 관리 솔루션입니다. 3.0.0 이전 버전에서는 withPartners=true 조회 시 파트너 소유자 식별자는 추가되지만, isArchived=true인 경우 Archive 가시성 필터가 모든 소유자에게 적용되지 않아 보기 전용 파트너가 공유자의 보관된 사진·동영상의 GPS 좌표와 존재 여부를 열거할 수 있습니다. 이미지 원본은 checkPartnerAccess로 보호됩니다.
|
2026-10-30 | 2026-11-02 16:17 |
| CVE-2026-109592 | MEDIUM | 4.3 | WordPress |
OpenStation: Desktop Windows, Dock & Virtual Desktops for WP Admin 플러그인 1.1.16 이하 버전에는 권한 검증 누락으로 인한 인가 우회 취약점이 존재합니다. 구독자(Subscriber) 이상의 인증된 공격자가 다른 사용자의 배치 데이터를 수정하고 연결된 항목의 메타데이터를 조회할 수 있습니다.
|
2026-10-30 | 2026-10-30 19:18 |
| CVE-2026-119429 | MEDIUM | 4.3 | MySQL |
phpMyAdmin 5.2.3 이하 버전에는 재인증 누락 취약점이 존재합니다. 인증된 공격자가 /config/set 경로에 2fa 키를 전송하여 2단계 인증을 재인증 없이 제거할 수 있습니다. 이 경우 이후 로그인은 MySQL 비밀번호만으로 가능해집니다.
|
2026-10-30 | 2026-11-03 16:07 |
| CVE-2026-119087 | MEDIUM | 4.3 | IBM Security Verify Access |
WordPress용 Content Egg – Affiliate Product Importer & Price Comparison 플러그인의 12.0.0 이하 모든 버전에는 권한 검증 누락으로 인한 인가 우회 취약점이 존재합니다. 작성자(Author) 이상 권한을 가진 인증된 공격자가 관리자 소유의 preset_id를 지정하여 관리자 명의로 게시물을 생성할 수 있으며, 공격자가 해당 게시물 유형의 publish_posts 권한을 보유한 경우 관리자 명의의 공개 게시물도 만들 수 있습니다.
|
2026-10-30 | 2026-10-30 19:18 |
| CVE-2026-119059 | MEDIUM | 4.3 | WordPress |
WordPress용 Content Egg 플러그인 12.0.0 이하 버전에서 ajaxUpdateProducts() 함수가 게시물별 권한 검사(current_user_can('edit_post', $post_id))를 수행하지 않아 취약합니다. 기여자(contributor) 이상의 인증된 공격자가 다른 사용자의 게시물, 관리자 게시물을 포함해 임의 게시물의 상품 데이터를 수정할 수 있습니다.
|
2026-10-30 | 2026-10-30 19:18 |
| CVE-2026-118947 | MEDIUM | 4.3 | Windows iSCSI Target Service |
Keycloak 서비스의 UMA 리소스 등록 엔드포인트에서 결함이 발견되었습니다. 원격 리소스 관리가 활성화된 환경에서, 특정 권한을 가진 인증된 사용자가 요청에 대상 리소스 ID를 지정하여 자신이 소유하지 않은 리소스를 수정할 수 있습니다. 이로 인해 리소스의 이름, URI, 스코프 등 설정이 무단으로 변경될 수 있습니다.
|
2026-10-30 | 2026-11-04 02:17 |
| CVE-2026-102260 | MEDIUM | 4.3 | Oracle GraalVM Enterprise Edition |
HashiCorp Nomad 및 Nomad Enterprise의 여러 읽기 전용 API 엔드포인트에 네임스페이스 간 권한 우회 취약점이 존재합니다. 이로 인해 한 네임스페이스에서 읽기 권한을 가진 인증된 사용자가 다른 네임스페이스의 객체 정보를 조회할 수 있습니다. Nomad Community Edition 2.1.1, Nomad Enterprise 2.1.0, 1.11.12, 1.10.18에서 수정되었습니다.
|
2026-10-29 | 2026-10-30 19:37 |
| CVE-2026-90862 | MEDIUM | 4.3 | Windows Server |
Progress Software WS_FTP Server의 Web Transfer Module에서 인증 처리가 부적절하여, 2024.0.7 및 2025.0.4 이전 버전(Windows)에서 공격자가 사용자 비밀번호를 보유한 경우 다단계 인증(MFA) 요구 없이 해당 계정과 연관된 일부 파일에 접근할 수 있습니다. 이 취약점은 CVSS 4.3(중간)으로 평가됩니다.
|
2026-10-29 | 2026-10-30 18:18 |
| CVE-2026-88078 | MEDIUM | 4.3 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 암호화 서명 검증이 부적절하게 수행되어, 인증되지 않은 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다. CVSS 점수는 4.3(중간)입니다.
|
2026-10-29 | 2026-11-03 17:59 |
| CVE-2026-85330 | MEDIUM | 4.3 | Microsoft Edge |
Microsoft Edge for Android에서 잘못된 권한 부여(Incorrect authorization) 문제가 발견되었습니다. 이로 인해 인증되지 않은 공격자가 네트워크를 통해 보안 기능을 우회할 수 있습니다.
|
2026-10-29 | 2026-10-31 00:49 |
| CVE-2026-20942 | MEDIUM | 4.3 | Microsoft Edge |
Microsoft Edge(Chromium 기반)에서 렌더링된 UI 레이어 또는 프레임에 대한 제한이 부적절하여, 권한 없는 공격자가 네트워크를 통해 스푸핑 공격을 수행할 수 있습니다. 심각도는 중간(CVSS 4.3)입니다.
|
2026-10-29 | 2026-11-03 17:58 |
| CVE-2026-119121 | MEDIUM | 4.3 | Docker |
Crawl4AI 0.9.0 이상 0.9.5 미만의 Docker API 서버에는 JavaScript 주입 취약점이 존재합니다. 인증된 API 클라이언트가 허용 목록에 있는 css_selector 및 wait_for 필드를 통해 크롤링 페이지에서 임의의 JavaScript를 실행할 수 있습니다. 이를 통해 페이지 상태와 반환되는 크롤링 결과가 변경될 수 있습니다.
|
2026-10-29 | 2026-10-29 18:17 |
| CVE-2026-104308 | MEDIUM | 4.3 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.12.3 버전까지에서 OS 명령에 사용되는 특수 요소를 부적절하게 무력화하여, 인증된 원격 공격자가 서비스 거부(DoS)를 유발할 수 있는 취약점입니다. 공격자는 로그인한 상태에서 특수하게 조작된 입력을 통해 서비스를 중단시킬 수 있습니다.
|
2026-10-29 | 2026-11-04 02:17 |
| CVE-2026-104310 | MEDIUM | 4.3 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.12.3 버전까지에서 서버 측 요청 위조(SSRF) 취약점이 발견되었습니다. 인증된 원격 공격자가 이를 악용해 민감한 정보를 획득할 수 있습니다.
|
2026-10-29 | 2026-11-02 20:17 |
| CVE-2026-104315 | MEDIUM | 4.3 | Langflow OSS |
IBM Langflow OSS 1.0.0부터 1.12.3까지의 버전에는 서버 측 요청 위조(SSRF) 취약점이 존재합니다. 인증된 공격자가 시스템에서 임의의 요청을 보낼 수 있으며, 이를 통해 내부 네트워크 정찰이나 추가 공격이 가능해질 수 있습니다.
|
2026-10-29 | 2026-11-04 02:17 |
| CVE-2026-115712 | MEDIUM | 4.3 | VMware Telco Cloud Platform |
Elastic Cloud Enterprise(ECE)에서 잘못된 권한 부여(CWE-863) 취약점이 발견되었습니다. 인증된 사용자가 읽기 전용 권한으로도 플랫폼 관리자만 변경할 수 있는 설치 전체 계정 설정을 수정할 수 있습니다. 이는 ACL로 적절히 제한되지 않은 기능 접근(CAPEC-1)을 통해 발생합니다.
|
2026-10-29 | 2026-10-30 15:08 |
| CVE-2026-93010 | MEDIUM | 4.3 | Windows DHCP Server |
dnsmasq에서 DHCP leasequery 기능이 활성화되어 있고 허용된 출발지 주소가 지정되지 않은 경우, 서버가 쿼리 요청자를 확인하지 않는 결함이 발견되었습니다. 이 경우 로컬 네트워크의 호스트가 DHCP 임대 기록을 조회할 수 있습니다. 해당 기능은 관리자가 명시적으로 활성화하지 않는 한 기본적으로 꺼져 있습니다.
|
2026-10-29 | 2026-11-03 16:17 |
| CVE-2026-115300 | MEDIUM | 4.3 | WordPress |
Supsystic Contact Form WordPress 플러그인 1.11.1 이전 버전은 캡처된 폼 제출 내용을 일괄 삭제하고 폼 통계를 초기화하는 두 관리자 전용 작업에서 CSRF 토큰이나 요청 출처를 검증하지 않습니다. 이로 인해 공격자는 로그인된 관리자를 속여 위조 요청을 보내게 함으로써 사이트에 저장된 연락처 리드와 분석 데이터를 영구적으로 파괴할 수 있습니다.
|
2026-10-29 | 2026-10-29 15:18 |
| CVE-2026-110983 | MEDIUM | 4.3 | WordPress |
WP Photo Album Plus 워드프레스 플러그인 9.3.04.004 이전 버전은 사진 댓글 관리 요청의 출처나 보안 토큰을 검증하지 않습니다. 이로 인해 댓글 관리 권한을 가진 로그인 사용자가 조작된 페이지를 열면 공격자가 사진 댓글을 삭제할 수 있습니다.
|
2026-10-29 | 2026-10-29 15:18 |
| CVE-2026-108763 | MEDIUM | 4.3 | WordPress |
The Wallet System for WooCommerce WordPress 플러그인 2.8.2 이전 버전은 KYC 문서 제출 핸들러에서 대상 사용자 ID를 클라이언트가 보낸 요청 필드에서 받아들이며, 소유권이나 권한 검사를 하지 않습니다. 이로 인해 Subscriber나 Customer 같은 최소 권한의 인증된 사용자도 관리자를 포함한 다른 사용자의 KYC 문서와 인증 상태를 덮어쓸 수 있습니다.
|
2026-10-29 | 2026-10-29 15:18 |
| CVE-2026-118667 | MEDIUM | 4.3 | IBM WebSphere Application Server |
LangGraph Python SDK의 v3 스트리밍 헬퍼(get_tree, _fetch_state)가 호출자가 제공한 assistant_id와 thread_id를 인증된 GET 요청 경로에 이스케이프 없이 삽입합니다. 이로 인해 상대 경로 세그먼트가 서버 내 다른 경로로 정규화되며 인증 헤더가 유지됩니다. langgraph-sdk 0.4.6 및 langgraph 1.2.14에서 수정되었습니다.
|
2026-10-28 | 2026-10-29 19:17 |
| CVE-2026-110182 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL Anonymizer의 anon.partial() 및 anon.partial_email() 함수에 취약점이 존재합니다. 데이터의 길이가 짧은 경우 마스킹되어야 할 원본 데이터 전체가 노출될 수 있습니다. 해당 문제는 PostgreSQL Anonymizer 3.3.0 이상 버전에서 수정되었습니다.
|
2026-10-28 | 2026-10-29 15:29 |
| CVE-2026-110183 | MEDIUM | 4.3 | PostgreSQL |
PostgreSQL Anonymizer에 정적 마스킹 및 통계 지속성과 관련된 취약점이 존재합니다. 원본 데이터에 대한 통계 정보가 테이블에 대해 ANALYZE 작업(수동 실행 또는 autovacuum)이 수행되기 전까지 pg_stats에 계속 노출됩니다. 이 문제는 PostgreSQL Anonymizer 3.3.0 이상 버전에서 수정되었습니다.
|
2026-10-28 | 2026-10-29 15:29 |
| CVE-2026-103393 | MEDIUM | 4.3 | Juniper Session Smart Router |
Juniper Networks Session Smart Router의 VRRP 구현에서 발생하는 범위 외 읽기(Out-of-Bounds Read) 취약점입니다. 인접 네트워크(L2)에 있는 공격자가 특별히 조작된 VRRPv3 광고 패킷을 보내면, 이전에 사용되었던 메모리 내용을 읽거나 시스템 장애를 일으킬 수 있습니다.
|
2026-10-28 | 2026-10-28 17:17 |
| CVE-2026-50543 | MEDIUM | 4.3 | Magento Open Source |
Xibo는 웹 기반 콘텐츠 관리 시스템과 Windows 디스플레이 플레이어로 구성된 오픈소스 디지털 사이니지 플랫폼입니다. 4.4.3 이전 버전에서는 POST /displaygroup/criteria/{displayGroupId} 엔드포인트에 권한 검사가 누락되어, 인증된 사용자가 XMR을 통해 임의의 디스플레이에 criteria 업데이트를 전송할 수 있습니다. 이로 인해 스케줄 변경과 재생 내용 조작이 가능하며, 이 취약점은 CMS에서 Schedule Criteria 기능을 사용하는 경우에만 악용됩니다.
|
2026-10-28 | 2026-11-04 23:10 |
| CVE-2026-86386 | MEDIUM | 4.3 | Atlassian Bamboo Data Center |
Dell PowerProtect Data Domain Management Center의 여러 버전(Feature Release 7.7.1.0~8.8, LTS2024 7.13.1.0~7.13.1.80, LTS2025 8.3.1.0~8.3.1.40, LTS2026 8.6.1.0~8.6.1.20)에서 SQL 명령어 내 특수문자가 적절히 무력화되지 않아 SQL 인젝션 취약점이 존재합니다. 원격에서 낮은 권한의 공격자가 이를 악용하여 정보 노출을 일으킬 수 있습니다.
|
2026-10-28 | 2026-11-02 21:17 |
| CVE-2026-85655 | MEDIUM | 4.3 | WordPress |
WordPress Enable Media Replace 플러그인 4.2.2 이하 버전에는 권한 검증 누락 취약점이 존재합니다. 작성자(Author) 이상 권한을 가진 인증된 공격자가 doReplaceQuery() 기능을 통해 해당 미디어를 참조하는 모든 게시물의 post_content를 수정할 수 있으며, 관리자 소유 게시물도 포함됩니다.
|
2026-10-28 | 2026-11-04 23:10 |